מי שניגש בימים האחרונים לאתר ההדלפות של קבוצת הכופרה KillSec ברשת האפלה לא מצא שם את רשימת הקורבנות הרגילה. במקומה מופיעה הודעת תפיסה בשם המשטרה הפלילית של המבורג וגופי אכיפה בינלאומיים. באותה פעולה נעצרו שלושה חשודים, והחוקרים אומרים שמי שהפעיל את הקבוצה הוא נער בן 16.

מה קרה

המבצע, שנקרא Operation KillSwitch, יצא לדרך ב-30 בספטמבר בהובלת המשטרה והפרקליטות בהמבורג שבגרמניה, בשיתוף רשויות מעשר מדינות וביניהן ארצות הברית, ספרד, רומניה, בריטניה, הולנד ויוון. לפי יורופול, החקירה שהתחילה ב-2025 בדקה כ-1,000 מתקפות חשודות ברחבי העולם, ולפחות 70 מהן מקושרות לארגונים בגרמניה.

הנער בן ה-16 נעצר באליקנטה שבספרד בידי שתי משטרות ספרדיות, והחוקרים מתארים אותו כמנהל הראשי המשוער של הקבוצה. שני העצורים האחרים הם בשנות העשרים לחייהם, אחד בבריטניה ואחד ברומניה, שם עצרו הפרקליטים מ-DIICOT בן 24 וביקשו מבית המשפט בבוקרשט להאריך את מעצרו ב-30 יום. פורטו ריקו הגישה בקשת הסגרה עבור העצור בבריטניה. שלושת המעצרים הוגדרו זמניים, וחזקת החפות עומדת לחשודים.

החוקרים זיהו ארבעה תפקידים בקבוצה: מנהל, מפתח, מנהל משא ומתן, ושותף חיצוני שמשתמש בכלים של הקבוצה כדי לתקוף בעצמו. גם המפתח המשוער היה קטין בחלק מהתקופה הנחקרת, מלאו לו 18 באוגוסט, והוא זוהה אך לא נעצר. במהלך הפעולה הושבתו חמישה שרתים, בהם השרת המרכזי ושרתים שהחזיקו מידע גנוב, ונתפסו לפחות 110 טרה-בייט של נתונים.

למה זה חשוב לכם

המודל שהקבוצה עבדה בו הוא מה שהופך את זה לעניין שלכם ולא רק של הארגונים שנפרצו. לפי הרשויות, KillSec, שפעילה מאז 2024, ניצלה חולשות בתוכנות ובמערכות שחשופות לאינטרנט ומוגנות חלש, גנבה מהן מידע ואז דרשה כסף תמורת ההבטחה לא לפרסם אותו באתר שלה. זה השינוי הגדול בכופרה בשנים האחרונות: לא נעילת הקבצים של הארגון, אלא עצם הפרסום של מה שנלקח ממנו. והמידע הזה הוא בדרך כלל המידע של הלקוחות.

החוקרים קבעו עד כה שכ-500 מהמתקפות הצליחו, ומדגישים שהמספר עוד יכול להשתנות כשינותחו הראיות שנתפסו.

מה עושים?

הניחו שפרטים שלכם מוחזקים אצל גופים שעלולים להיפרץ, ודאגו שסיסמה אחת שדולפת לא תפתח גם חשבונות אחרים. סיסמה שונה לכל שירות היא ההגנה הזאת בפועל.

הפעילו אימות דו-שלבי בחשבונות המרכזיים, קודם כול בדואר האלקטרוני, כך שסיסמה לבדה לא תספיק למי שמנסה להיכנס.

אם מגיעה אליכם הודעה שטוענת שהמידע שלכם נגנב ודורשת תשלום, אל תשלמו ואל תגיבו. בדקו ישירות מול הגוף שאמור להחזיק את המידע, דרך מספר טלפון שאתם מאתרים בעצמכם ולא כזה שמופיע בהודעה.

השרתים נסגרו, אבל 110 הטרה-בייט שנתפסו הם מידע שכבר יצא מהארגונים שמהם נלקח. זה הצד של המתקפה שאף פעולת אכיפה לא מחזירה אחורה.